WhatsApp, iOS ve macOS platformlarını etkileyen önemli bir güvenlik açığını giderdi. CVE-2025-55177 olarak tanımlanan bu zafiyet, bağlı cihaz senkronizasyon mesajlarının yetersiz yetkilendirilmesinden kaynaklanıyor ve Meta’nın güvenlik ekibi tarafından tespit edilip yeniden değerlendirilmiştir.
Açığın Detayları ve Etkilenen Sürümler
Bu güvenlik açığı, ilişkisiz bir kullanıcının hedef cihazda rastgele bir URL’den içerik işlenmesini tetikleyebilmesine olanak tanıyor. Etkilenen sürümler arasında iOS için WhatsApp 2.25.21.73 öncesi, iOS WhatsApp Business 2.25.21.78 ve Mac için WhatsApp 2.25.21.78 sürümleri bulunuyor. Bu sürümler sırasıyla Temmuz ve Ağustos 2025’te yayımlanan yamalarla güncellendi.
Zincirleme Saldırı ve İlgili Diğer Zafiyet
Bu açığın, iOS, iPadOS ve macOS’u etkileyen ve Apple tarafından son derece karmaşık hedefli saldırılarda kullanıldığı açıklanan CVE-2025-43300 ile zincirlenmiş olabileceği değerlendiriliyor. CVE-2025-43300, ImageIO çerçevesinde bir sınır dışı yazma açığı olup, kötü amaçlı resim işlenmesi sırasında bellek bozulmasına sebep olabiliyor.
Hedeflenen Saldırılar ve Tavsiyeler
Amnesty International Güvenlik Laboratuvarı Başkanı Donncha Ó Cearbhaill, WhatsApp’ın bu açık kullanılarak son 90 gün içinde gelişmiş bir casus yazılım kampanyasının hedefi olan belirli kişilere bildirim gönderdiğini açıkladı. WhatsApp, kullanıcıların cihazlarını fabrika ayarlarına döndürmelerini ve hem işletim sistemi hem de uygulamayı güncel tutmalarını öneriyor. Saldırıların arkasındaki aktörler henüz belirlenemedi.
Sıfır Tıklama Saldırısı ve Etkileri
Ó Cearbhaill, bu iki zafiyetin sıfır tıklama saldırısı olarak sınıflandırıldığını, yani kullanıcı etkileşimi olmadan cihazların ele geçirilebildiğini belirtti. İlk göstergeler, saldırının hem iPhone hem de Android kullanıcılarını etkilediğini ve aralarında sivil toplum üyelerinin de bulunduğunu gösteriyor. Devlet destekli casus yazılımların gazeteciler ve insan hakları savunucuları için ciddi bir tehdit olmaya devam ettiği vurgulanıyor.
WhatsApp’ın Bildirimleri ve Güncellemeler
WhatsApp, The Hacker News ile yaptığı açıklamada, kampanya kapsamında 200’den az kullanıcıya uygulama içi tehdit bildirimleri gönderdiğini duyurdu. Bu haber, Temmuz sonu ve Ağustos 2025’te yayımlanan yamalar ve Eylül 2025’te NIST NVD veritabanında güncellenen CVSS puanları doğrultusunda güncellenmiştir.